7 DevSecOps Best Practices For 2022

2022 年の DevSecOps ベスト プラクティス

DevSecOps は、文化、戦略、技術的な実装が組み合わさったものです。 その結果、どこから始めればよいのか、どうすれば「正しく理解」できるのかを理解することが課題となる可能性があります。 以下では、企業が DevSecOps を最大限に活用できるよう、2022 年の 7 つの DevSecOps ベスト プラクティスを確認します。 

#1:シフトレフト

従来、セキュリティスキャンと評価は、ソフトウェア製品が構築され、本番環境にデプロイする準備が整った(またはすでにデプロイされている)ときに実装されていました。 そのため、セキュリティ問題の修正は困難で、コストがかかり、締め切りに追われる可能性もありました。 シフトレフトのセキュリティ これらの課題に対処し、セキュリティを優先するために、できるだけ早くセキュリティをソフトウェア開発ライフサイクル(SDLC)に統合することを強調しています。 

技術的な観点からは、開発者がセキュリティのベストプラクティスを念頭に置いてコードを記述し、 code scanning ソリューション 静的アプリケーション セキュリティ テスト (SAST)、動的アプリケーション セキュリティ テスト (DAST)、対話型アプリケーション セキュリティ テスト (IAST)、ソース構成分析 (SCA) など、安全でないコードを実稼働環境にデプロイする前に検出するのに役立ちます。 ただし、シフトレフトはコードだけにとどまりません。 また、SDLCの計画、分析、設計の各フェーズでセキュリティを優先することも意味します。 

セキュリティを左にシフトすることで、企業はセキュリティの問題や構成ミスを早期に検出して製品の品質とセキュリティを向上させると同時に、脆弱性に対処するために必要な時間と労力を削減できます。 

#2:自動化 

手動プロセスはエラーが発生しやすく、拡張が困難です。 さらに、手動プロセスが多すぎると、設定ミスの可能性が高まります。 また、設定ミスは、今日の企業が直面している最大のセキュリティ脅威の1つです。 たとえば、2021 年には チェックポイントリサーチ（CPR）チームが発見 クラウド サービスの設定ミスにより、1 億人を超えるユーザーのデータが漏洩したということです。 

自動化は、CI\CD パイプライン全体でセキュリティ プラクティスが実装され、検証されることを保証するのに役立ちます。 そのため、自動化は DevSecOps の最も重要なベスト プラクティスの 1 つです。 構成ミスを回避し、脆弱性を防止/検出して修復するために、企業は、IDE で記述されるコードから本番環境の IAM ロールに至るまで、あらゆるものを自動化できますし、またそうすべきです。 

#3: セキュリティをコードとして採用する

コードとしてのセキュリティは、セキュリティポリシー、スキャン、および検証を体系化したものです。 多くの点で、コードとしてのセキュリティの利点は、 コードとしてのインフラストラクチャ (IaC)。コードとしてのセキュリティを使用すると、企業はインフラストラクチャ全体に安全なポリシーを一貫して実装し、デプロイメントを合理化し、バージョン管理を活用し、パイプライン全体で自動化を可能にすることができます。

自動化や他の DevSecOps のベスト プラクティスと同様、コードとしてのセキュリティには、セキュリティの向上と運用の改善という 2 つの利点があります。 セキュリティの実装が体系化されると、繰り返しと拡張が大幅に容易になります。  

#4:適切なツールを統合する

効果的な DevSecOps には組織の同意とセキュリティを優先する文化が必要ですが、企業は依然として DevSecOps セキュリティのベスト プラクティスを実装するための適切なツールを必要としています。 たとえば、セキュリティを重視する現代の企業は、SAST、動的セキュリティ アプリケーション テスト (DAST)、インタラクティブ アプリケーション セキュリティ テスト (IAST)、ソース構成分析 (SCA) などの appsec ツールを使用して、全体的なセキュリティ体制を向上させることがよくあります。

さらに、マイクロサービスとコンテナ化は最新のアプリケーション インフラストラクチャの基礎であるため、イメージ保証、侵入検出、コンテナのランタイム保護などの機能を提供できる DevSecOps ツールは、堅牢なセキュリティに不可欠です。 

もちろん、最新のツールを持っているだけでは十分ではありません。 企業は次のことを行う必要があります DevSecOps ツールをパイプラインに効果的に統合する.というわけで、 DevSecOps セキュリティ プラットフォーム 堅牢な API を備えたものは非常に魅力的です。 これにより、ツールを拡張し、さまざまなプラットフォームやユースケースに統合することができます。

#5:組織全体で責任を共有する

「セキュリティは全員の責任である」は、DevSecOps の基本的な真実です。 最新のソフトウェア プロジェクトの設計、承認、構築、保守、または資金提供に関与するすべての人は、セキュリティの優先順位付けに責任を持つ必要があります。 

実際には、開発者とエンジニアは、DevSecOps のベスト プラクティスの戦術的な実装を担当することがよくあります。 しかし、セキュリティを堅牢にするためには、プロダクトオーナー、プロジェクトマネージャー、さらには経営幹部までもが、戦略的な観点から自分の役割を果たす必要があります。 

#6:コミュニケーション

コミュニケーションのサイロ化は、企業のセキュリティに対する最大の脅威の1つです。 セキュリティとオブザーバビリティのツールは、企業が脅威を検出するために必要な情報を提供できますが、チーム間の明確でタイムリーで直接的なコミュニケーションは必須です。 

つまり、関連するすべての利害関係者が意思決定に関与し、責任が明確になり、セキュリティがすべての事業部門にとって正当な優先事項であることを確認することを意味します。 さらに、アラート疲労を回避することは、確実な DevSecOps コミュニケーションを維持するための重要な側面です。 些細なアラートや誤検知が多すぎると、深刻なセキュリティ問題を実際にエスカレーションするタイミングが不明確になる可能性があります。 

#7:教育する 

サービス プロバイダーが「クラウドのセキュリティ」に責任を負うため、クラウドは一部の複雑さを抽象化します (例: 物理的なセキュリティとオペレーティングシステムのパッチ)。 ただし、 AWS および他のクラウドプロバイダーが使用する責任共有モデル、個々の企業が依然として「クラウド内のセキュリティ」に対して責任を負っています（例: 安全な構成とサーバーレス機能)。 

したがって、企業は、DevSecOps の「理由」と「方法」をチームに確実に教育する必要があります。 エンジニアや開発者にとって、セキュリティ教育の一部は、DevSecOps 手法の最新情報を入手し、その知識を日々実装することです。 ただし、企業内で効果的な DevSecOps 教育を行うには、経営幹部を含む関係者が DevSecOps のメリットを理解し、組織全体での導入促進に役立てる必要があることも意味します。